以信息安全等级保护为抓手开展信息安全建设
随着医疗卫生行业信息化程度的逐步提高，网络犯罪行为已经崭露头角。虽然在医疗卫生机构内已经部署了很多安全产品，但是仍然有很多的安全问题出现，对已经与信息化紧密相关的医疗卫生业务来讲，这会在极大程度上影响医疗卫生行业为公众进行服务的效果。因此，医疗卫生机构认真落实国家信息安全等级保护制度是十分必要的。
以信息安全等级保护制度为抓手开展信息安全建设
2011年，原卫生部印发了《卫生行业信息安全等级保护工作的指导意见》的通知，要求依据国家信息安全等级保护制度，遵循相关标准规范，在医疗卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作。
个人认为，以信息安全等级保护制度作为信息安全建设的抓手是一个很好的思路。很多人认为购买安全产品、做灾备、安装冗余设备等就能保证信息系统安全了，其实只是从微观角度看待安全，而信息安全应该是体系化的工作，要技术和管理并重，某种程度上，要“七分管理、三分技术”。信息安全是符合“木桶效应”观点的，将整个信息安全系统从一个完整的系统角度比作一个木桶，其安全水平是由构成木桶的最短的那块木板决定的。也就是说，我们的信息安全系统中，各个安全要素是同等重要的。正所谓“蝼蚁之穴，溃千里之堤”，各方面要素均不容忽视。
信息安全是一个管理过程，而不是一个技术过程。技术和产品要通过管理的组织职能才能发挥最好的作用，技术不高但管理良好的系统远比技术高但管理混乱的系统安全。因此，技术和产品是基础，管理是关键，建立一个管理框架，让好的安全策略在这个框架内可重复实施，并不断得到修正，就会实现持续安全。
信息安全等级保护制度就是从信息系统的角度出发，重点在于确定信息系统的安全保护等级，并从技术和管理两个方面采取保护措施，使该系统具有与其等级相适应的安全保护能力。而信息安全等级保护工作的核心内容是：对信息系统进行分等级保护、分等级监管。这是也对信息安全等级保护工作最通俗的解释。
医疗卫生行业应该如何开展信息安全等级保护工作
《信息安全等级保护管理办法》(公通字〔2007〕43号)，规定了国家等级保护的实施和管理工作，为响应该文件，医疗卫生行业信息系统应完成以下工作：定级备案、安全建设或改建、等级测评、自查、检查。
个人认为，医疗卫生行业在开展信息安全等级保护工作过程中应该重点遵循以下四个原则：一是自主保护原则。信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。二是重点保护原则。根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统，如HIS。三是同步建设原则。信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。四是动态调整原则。要跟踪信息系统的变化情况，调整安全保护措施。由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。
同时，在开展信息安全等级保护工作时可以参考和结合国际标准ISO/IEC27001：2005，《信息安全管理体系要求》，利用过程方法和PDCA模型开展信息安全管理的各项工作，在整个过程中，规定管理职责、资源管理、持续改进等多方面的要求，完全从体系化的角度，对信息安全管理工作的各方面加以规范。特别要强调的是安全工作不是一个项目，而是一个长期持续改进的过程。需要不断根据自己业务变化，根据外界的环境，进行持续改进。
医疗卫生行业开展信息安全等级保护工作的现状
目前，国内大部分医疗卫生机构都在开展信息安全等级保护工作。个人认为，北京和上海的工作经验是比较好的。北京从定级备案入手，以北京市原卫生局和北京市公安局网安处、文保处联合培训、检查、督导来促进信息安全等级保护工作的开展。上海是以等级测评工作入手来促进信息安全等级保护工作的开展，由上海市卫生局跟上海市测评中心联合，要求各个医院都必须进行测评工作，而且他们把管理要求制定模板下发到各医院。
然而据了解，到目前为止，北京的医院只有阜外心血管病医院完成了等级保护第三级测评工作，其他大部分医院只完成了定级备案，部分医院开始了安全整改工作。就目前情势看，原卫生部要求全国卫生行业各个单位全面开展信息安全等级保护工作，于2015年年底完成信息安全等级保护建设整改工作，定为第三级的系统还要通过等级测评的要求很难完成。
医疗卫生行业信息安全等级保护工作落地难的原因
个人认为医疗卫生行业等级保护工作落地难的原因之一是资金问题，安全建设或整改工作、等级测评工作都需资金的支持。另外一个原因是，大部分医院目前采用是物理隔离，认为物理隔离的安全风险小，对开展信息安全等级保护工作的热度并不高。但是，物理隔离的办法是会越来越行不通的，比如说与医保网互联、开通微信平台、通过支付宝支付、移动终端接入，内部局域网不可避免地要跟外网互联。其实物理隔离也不一定安全，如果不做好管理，人为加入无线网卡或用其他线联接外部网络还是会面临风险，例如患者隐私泄露。还有一个重要的原因是安全意识问题，医疗卫生机构应该充分认识到开展等级保护工作对自身信息系统安全的重要性和必要性。医疗卫生机构开展业务工作依赖着信息系统，如果信息系统瘫痪了，业务工作就无法正常开展。所以不能片面理解为信息安全只是信息保密，信息安全是业务安全，是生产作业安全，是指挥调度安全。
信息安全等级保护工作体会
对于医疗卫生行业开展等级保护工作谈几点个人的体会。首先，开展信息安全等级保护工作需要整体化考虑，信息系统在安全定级时可能会分为第一级、第二级、第三级，但是信息主管不能只关注第三级系统，要整体考虑信息安全策略及不同等级系统的互联互通的问题。
其次，医疗卫生行业要想开展好等级保护工作，应该由国家牵头在行业专家的共同参与下，在国家信息安全等级保护制度基本要求的基础上制定我们行业的细则，如医疗卫生行业信息安全等级保护定级细则、医疗卫生行业信息安全等级保护基本要求细则，在细则里加强技术手段和管理手段的要求。我认为这是非常重要的一件事，也是我呼吁医疗卫生行业必须要做的一件事。
第三，信息安全应该是管理与技术并重。有的时候更应该从人员管理上入手，才能真正做好安全保护工作。信息安全等级保护工作中的难点往往是管理上的难点，管理制度落地难，不能常态运行。其实，部分信息安全管理工作是可以借助信息化手段来实现的。
第四，安全是适度安全，没有绝对的安全。安全是一个自我接受程度，是基于风险的管理。面临风险应该有几种策略，一种是规避、一种是转移、一种是降低，最后是接受。
第五，随着外界风险的变化，内部系统的调整，信息安全应该是持续改进的过程。信息安全工作跟运维工作一样，是需要持续改进的。
第六，主观认识上应该从“要我做”转变为“我要做”。其他行业的单位，如银行、证券公司等，早已完成了信息安全等级保护测评工作，并且大部分单位都是结合国际标准ISO/IEC27001：2005去落实的，为什么?因为落实之后安全风险大幅度减小，且风险可控，它的信用程度或者股民对它的认可度就高。现在我们医疗卫生行业也需要有这样的认识，落实信息安全等级保护工作其实是减小自己信息系统的风险并能提高民众的认可度、信赖度，是我们必须要去持续开展的一项工作。
作者：王晖
伴随国家林业信息化发展“十二五”规划的出台，林业
信息系统利用率稳步上升，有利于建立高效便捷、功能齐备、互通互联的现代化林业信息体系，全面推动林业决策科学化、办公规范化、监督透明化、服务便捷化;与此同时，面对日益凸显的网络安全问题，怎样确保林业信息系统的安全，已经成为政府机关的一项重要课题。
为提高信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，我国制定和发布了约95个信息系统等级保护相关的国标、行标，包括技术与机制、测评标准、管理标准与其他项四大类标准，形成了一套比较完备的信息安全等级保护准则。
主要参照标准
林业信息系统安全等级保护主要参照《计算机信息系统安全保护等级划分准则》(GB17859-1998)的强制性国家标准，标准规定了计算机信息系统安全保护能力的五个等级，即：第一级：用户自主保护级;第二级：指导保护级;第三级：监督保护级;第四级：强制保护级;第五级：专控保护级。
总体工作目标
林业信息系统力求通过开展信息安全等级保护工作，制定切实有效的等级保护内部管理制度与规范，同时调动全员参与，明确责任人，通过开展培训牢固树立全员信息安全防线，从而全面保障林业信息系统对于一般自然灾害与外部威胁和攻击的抵抗能力、恢复能力与安全漏洞的修复能力，不断提高林业非涉密信息系统的安全保护能力。
总体设计
林业信息系统的安全保护设计思想是巩固现有信息系统的运行安全机制，以终端安全为切入点，全面有效保护整体信息系统安全。同时，在设计思想上，以防内为主，同时注重外部防御，提高各个节点自身防护能力，强化终端防护设计，全面提高林业系统非涉密信息系统的整体安全防护能力。
总体设计主要从计算机环境、区域边界、通信网络三方面考虑。
计算机环境就是基本用户的设备环境，由完成信息存储与处理的计算机系统硬件和系统软件以及外部设备及其连接部件组成。在计算机环境设计上主要涉及机房场地环境、磁场、静电、电磁波辐射与干扰、电源保护、应急备份措施、计算机个体。
区域边界是计算环境的边界，对进入和流出应用环境的信息流进行安全检查和访问控制。主要通过网络接入控制、关闭网络设备未使用端口、IP/MAC地址绑定来实现。
通信网络是计算环境之间实现信息传输功能的部分，对通信双方进行可信鉴别验证，实施数据传输完整性和保密性保护。在林业信息系统中通信网络主要部署VPN网关、管理员权限控制、安全审计等安全机制，实现接入通信网络设备的可信检验，以及应用系统的抗抵赖保护。
实施林业信息安全等级保护制度并全面落实，有利于解决并提高林业信息安全能力与水平。由于很多林业职工长期在户外工作，通讯与各项设施落后，与外界交流不畅，一方面造成林业职工信息化意识不足，另一方面造成信息化安全意识不足，对信息安全的认识与落实往往流于形式，实施不够，同时，不少单位没有防范设备和防范措施，存在着诸多隐患。这些问题已经严重制约林业信息化的健康发展，成为影响国家信息化发展战略目标实现、维护国家信息安全的问题，必须引起我们的高度重视，尽快逐步加以解决。
因此，我们必须把握好现代林业信息化发展的需求与目标，切实增强实施林业信息安全等级保护的责任感、紧迫感与使命感，认真全面落实中央的各项部署，针对本部门情况，制定切实有效的管理措施，加快林业信息化安全建设步伐，保障现代林业、数字林业的无限生机与活力。
(作者单位：山东省林业局，济南市房产测绘研究院)
作者：赵怡康 史大林 李春光
在信息化时代，信息安全成为国家安全和企业安全的重要组成部分，电力与银行、证券、海关、铁道、民航、税务一起被国家确定为七个重点行业信息安全领域。等级保护是国家推行的信息安全保障基本制度之一。随着信息化建设不断深入，信息技术应用已渗透到企业的每一项业务，业务对信息系统的依赖程度越来越高，其基础性、全局性、全员性作用日益增强。信息化是一把“双刃剑”，在为企业带来提高工作效率和管理水平、增强竞争能力等益处的同时，也为企业带来了安全风险，安全风险与信息化水平的提高同步增长。提升企业信息系统安全防护能力，保障系统信息安全，同时满足国家等级保护的合规性要求，成为信息化工作的新任务。
安全防护需求
《信息安全技术一信息系统安全等级保护基本要求》(GB/T22239-2008)明确了基本要求，电网作为重点行业信息安全领域，充分结合自身安全的特殊要求，在对国家标准消化基础上进行深化、扩充，将二级系统技术要求项由79个扩充至134个，三级系统技术要求项由136个扩充至184个，形成了企业信息系统安全等级保护要求，见表1。
安全防护架构与策略
按照纵深防御的思想设计安全防护总体架构，核心内容是“分区、分级、分域”，如图1所示。分区就是按照《电力二次系统安全防护规定》(电监会5号令)将信息系统划分为生产控制大区和管理信息大区两个相对独立区域进行安全防护。分级就是将部署于大区的各系统分别确定安全保护级别实现等级化防护。分域就是将部署于大区的各系统，依据系统级别及业务系统类型划分不同的安全域，实现不同安全域的独立化、差异化防护。总体上形成了“区、级、域”多梯次大纵深的安全防护构架。
生产控制大区和管理信息大区的系统特性不同，安全防护策略也不尽不同。本文仅描述管理信息大区的安全防护策略。管理信息大区部署管理类业务的系统，安全防护遵循以下策略：
(1)双网双机。将管理信息大区网络划分为信息内网和信息外网，内外网间采用逻辑强隔离装置进行隔离，内外网分别采用独立的服务器及桌面主机;
(2)分区分域。将管理信息大区的系统，依据定级情况及业务系统类型，进行安全域划分，以实现不同安全域的独立化、差异化防护;
(3)等级防护。管理信息系统以实现等级保护为基本出发点进行安全防护体系建设，并参照国家等级保护基本要求进行安全防护措施设计;
(4)多层防御。在分域防护的基础上，将各安全域的信息系统划分为边界、网络、主机、应用四个层次进行安全防护设计，以实现层层递进，纵深防御。
安全防护设计
信息系统安全防护按照边界安全防护、网络环境安全防护、主机系统安全防护、应用安全防护四个层次进行防护措施设计。
(一)边界安全防护
边界安全防护目标是使边界的内部不受来自外部的攻击，同时也用于防止恶意的内部人员跨越边界对外实施攻击，或外部人员通过开放接口、隐通道进入内部网络;在发生安全事件前期能够通过对安全日志及入侵检测时间的分析发现攻击企图，安全事件发生后可以提供入侵事件记录以进行审计追踪。
边界安全防护关注对进出该边界的数据流进行有效的检测和控制，有效的检测机制包括基于网络的入侵检测(IDs)、对流经边界的信息进行内容过滤，有效的控制措施包括网络访问控制、入侵防护、虚拟专用网(VPN)以及对于远程用户的标识与认证/访问权限控制。上述边界安全防护机制与其它层面安全措施可协同使用以提供对系统的防护。
信息系统边界归为信息外网第三方边界、信息内网第三方边界、信息内外网边界、信息内网纵向上下级单位边界及横向域间边界五类，安全防护设计见表2
(二)网络安全防护
网络环境安全防护的目标是防范恶意人员通过网络对应用系统进行攻击，同时阻止恶意人员对网络设备发动的攻击，在安全事件发生前可以通过集中的日志审计、入侵检测事件分析等手段发现攻击意图，在安全事件发生后可以通过集中的事件审计系统及入侵检测系统进行事件跟踪、事件源定位以发现恶意人员位置或及时制定相应的安全策略防止事件再次发生。
网络安全防护面向企业整体支撑性网络，以及为各安全域提供网络支撑平台的网络环境设施，网络环境具体包括网络中提供连接的路由器、交换设备及安全防护体系建设所引入的安全设备。安全防护设计见表3。
(三)主机安全防护
主机系统安全的目标是确保业务数据在进入、离开或驻留服务器时保持可用性、完整性和保密性，采用相应的身份认证、访问控制等手段阻止未授权访问，采用主机防火墙、入侵检测等技术确保主机系统的安全，进行事件日志审核以发现入侵企图，在安全事件发生后通过对事件日志的分析进行审计追踪，确认事件对主机的影响以进行后续处理。
主机系统安全防护包括对服务器及桌面终端的安全防护。服务器包括业务应用服务器、网络服务器、WEB服务器、文件与通信等;桌面终端是作为终端用户工作站的台式机与笔记本计算机。安全防护设计见表4。
(四)应用防护
应用安全防护的目标是保证应用系统自身的安全性，以及与其他系统进行数据交互时所传输数据的安全性;在安全事件发生前发现入侵企图或在安全事件发生后进行审计追踪。
应用安全防护包括对于应用系统本身的防护、用户接口安全防护和对于系统间数据接口的安全防护。安全防护设计见表5。
安全防护实施
信息系统安全等级保护实施涉及到系统定级、现状测评、安全建设改造方案编写及实施、等保符合度测评、备案等工作。依据《信息安全技术一信息系统安全等级保护定级指南》(GB/T22240-2008)开展定级工作，定级结果报政府主管部门审批确认。现状测评委托专业机构进行，测评结果作为安全建设方案编写的主要依据。安全域是安全防护总体架构的关键环节，是方案制定的关键内容之一。
管理信息大区划分为内网和外网，内网部署为公司内部员工服务的系统，外网部署对外服务的系统。安全域是由一组具有相同安全保障要求、并相互信任的系统组成的逻辑区域，同一安全域的系统共享相同的安全保障策略。按照等级保护的思想，安全域按照“二级系统统一成域，三级系统独立分域”原则划分。将等级保护较高的三级系统按独立的安全域进行安全防护，以实现三级系统的独立安全防护，将所有二级系统作为一个安全域进行安全防护可降低成本。定级和安全域划分见表6。
限于篇幅，系统建设改造方案细节、等保符合度测评等内容不在此赘述。
依照信息系统不同安全防护等级，以安全域为防护主体，对信息内、外网的信息系统开展等级化安全防护，实施边界、网络、主机及应用逐层递进的纵深防御，规范部署基础安全防护措施，全面提高信息系统安全防护能力。通过等级保护实施，实现了国家等级保护标准在电网企业的落实完善，形成了适应电网自身特点的防护要求。公司ERP系统(三级)，广域核心网络、营销管理信息系统、调度生产管理系统分别通过了公安部门组织的三级、二级等级保护符合性测评。公司成为浙江省内首家通过等级保护测评的单位，也是电力行业内首家通过地方政府测评的电力企业。信息系统随着需求改变不断变更，信息安全是一个动态的体系，等级保护建设不是一次性任务，而是一项长期不懈的工作。
作者：王志强
一、项目名称、性质
(一)名称：信息系统安全等级保护备案
(二) 性质：非行政许可
二、设定依据
二OO七年六月二十二日公安部、国家保密局、国家密码管理局、国务院信息化工作办公室公通字[2007]43号印发《信息安全等级保护管理办法》第十五条规定：
已运营(运行)的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。
三、实施权限和实施主体
根据《信息安全等级保护管理办法》第十五条规定，实施主体和权限为： 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续;
跨省或者全国统一联网运行的信息系统在自治区一级运行、应用的分支系统及各区直单位运营、使用的信息系统，应当向自治区公安厅网络警察总队备案。
跨省或者全国统一联网运行的信息系统在各市运行、应用的分支系统及各市直单位运营、使用的信息系统，应当向市级公安机关网络警察支队备案。
四、行政审批条件
无。
五、实施对象和范围
根据《信息安全等级保护管理办法》第十五条的规定，实施对象和范围是：不涉及国家涉密信息系统的运营使用单位、信息系统主管部门。
六、申请材料
(一)、《信息系统安全等级保护备案表》;
(二)、《信息系统安全等级保护定级报告》;
(三)根据《信息安全等级保护管理办法》第十六条的规定，第三级以上信息系统应当同时提供以下材料： (1)系统拓扑结构及说明;
(2)系统安全组织机构和管理制度; (3)系统安全保护设施设计实施方案或者改建实施方案; (4)系统使用的信息安全产品清单及其认证、销售许可证明;
(5)测评后符合系统安全保护等级的技术检测评估报告; (6)信息系统安全保护等级专家评审意见;
(七)主管部门审核批准信息系统安全保护等级的意见。 (提交复印件的应交验原件，复印件规格统一采用A4纸,以上提交材料均为一份)。
七、办结时限
(一)法定办结时限：10个工作日。
(二)承诺办结时限：10个工作日。
八、行政审批数量 无数量限制。
九、收费项目、标准及其依据
不收费。
十、办理时间
夏令时：早上8：30-12：00，下午15：00-18：00
冬令时：早上8：30-12：00，下午14：30-17：30
信息系统安全等级保护备案流程图.doc 附件1.行政审批流程图
2.申请书示范文本
申请书示范文本.doc
第一条 为规范公安机关公共信息网络安全监察部门开 展信息安全等级保护检查工作，根据《信息安全等级保护管 理办法》(以下简称《管理办法》)，制定本规范。
第二条 公安机关信息安全等级保护检查工作是指公安 机关依据有关规定，会同主管部门对非涉密重要信息系统运 营使用单位等级保护工作开展和落实情况进行检查，督促、 检查其建设安全设施、落实安全措施、建立并落实安全管理 制度、落实安全责任、落实责任部门和人员。
第三条 信息安全等级保护检查工作由市(地)级以上 公安机关公共信息网络安全监察部门负责实施。每年对第三 级信息系统的运营使用单位信息安全等级保护工作检查一 次，每半年对第四级信息系统的运营使用单位信息安全等级 保护工作检查一次。
第四条 公安机关开展检查工作，应当按照“严格依法， 热情服务”的原则，遵守检查纪律，规范检查程序，主动、 热情地为运营使用单位提供服务和指导。
第五条 信息安全等级保护检查工作采取询问情况，查 阅、核对材料，调看记录、资料，现场查验等方式进行。
第六条 检查的主要内容：
(一) 等级保护工作组织开展、实施情况。安全责任落 实情况，信息系统安全岗位和安全管理人员设置情况;
(二) 按照信息安全法律法规、标准规范的要求制定具 体实施方案和落实情况;
(三) 信息系统定级备案情况，信息系统变化及定级备 案变动情况;
(四) 信息安全设施建设情况和信息安全整改情况;
(五) 信息安全管理制度建设和落实情况;
(六) 信息安全保护技术措施建设和落实情况;
(七) 选择使用信息安全产品情况;
(八) 聘请测评机构按规范要求开展技术测评工作情 况，根据测评结果开展整改情况;
(九) 自行定期开展自查情况;
(十) 开展信息安全知识和技能培训情况。 第七条 检查项目：
(一)等级保护工作部署和组织实施情况
1.下发开展信息安全等级保护工作的文件，出台有关 工作意见或方案，组织开展信息安全等级保护工作情况。
2.建立或明确安全管理机构，落实信息安全责任，落 实安全管理岗位和人员。 3.依据国家信息安全法律法规、标准规范等要求制定 具体信息安全工作规划或实施方案。
4.制定本行业、本部门信息安全等级保护行业标准规 范并组织实施。
(二)信息系统安全等级保护定级备案情况
1.了解未定级、备案信息系统情况以及第一级信息系 统有关情况，对定级不准的提出调整建议。
2.现场查看备案的信息系统，核对备案材料，备案单 位提交的备案材料与实际情况相符合情况。
3.补充提交《信息系统安全等级保护备案登记表》表 四中有关备案材料。
4.信息系统所承载的业务、服务范围、安全需求等发 生变化情况，以及信息系统安全保护等级变更情况。
5.新建信息系统在规划、设计阶段确定安全保护等级 并备案情况。
(三)信息安全设施建设情况和信息安全整改情况
1.部署和组织开展信息安全建设整改工作。
2.制定信息安全建设规划、信息系统安全建设整改方 案。 3.按照国家标准或行业标准建设安全设施，落实安全 措施。
(四)信息安全管理制度建立和落实情况 1.建立基本安全管理制度，包括机房安全管理、网络 安全管理、系统运行维护管理、系统安全风险管理、资产和 设备管理、数据及信息安全管理、用户管理、备份与恢复、 密码管理等制度。
2.建立安全责任制，系统管理员、网络管理员、安全 管理员、安全审计员是否与本单位签订信息安全责任书。
3.建立安全审计管理制度、岗位和人员管理制度。
4.建立技术测评管理制度，信息安全产品采购、使用 管理制度。 5.建立安全事件报告和处置管理制度，制定信息系统 安全应急处置预案，定期组织开展应急处置演练。
6.建立教育培训制度，定期开展信息安全知识和技能 培训。
(五)信息安全产品选择和使用情况
1.按照《管理办法》要求的条件选择使用信息安全产 品。
2.要求产品研制、生产单位提供相关材料。包括营业 执照，产品的版权或专利证书，提供的声明、证明材料，计 算机信息系统安全专用产品销售许可证等。
3.采用国外信息安全产品的，经主管部门批准，并请 有关单位对产品进行专门技术检测。
(六)聘请测评机构开展技术测评工作情况
1.按照《管理办法》的要求部署开展技术测评工作。 对第三级信息系统每年开展一次技术测评，对第四级信息系 统每半年开展一次技术测评。 2.按照《管理办法》规定的条件选择技术测评机构。
3.要求技术测评机构提供相关材料。包括营业执照、 声明、证明及资质材料等。
4.与测评机构签订保密协议。 5.要求测评机构制定技术检测方案。
6.对技术检测过程进行监督，采取了哪些监督措施。
7.出具技术检测报告，检测报告是否规范、完整，检 查结果是否客观、公正。
8.根据技术检测结果，对不符合安全标准要求的，进 一步进行安全整改。
(七)定期自查情况
1.定期对信息系统安全状况、安全保护制度及安全技 术措施的落实情况进行自查。第三级信息系统是否每年进行 一次自查，第四级信息系统是否每半年进行一次自查。
2.经自查，信息系统安全状况未达到安全保护等级要 求的，运营、使用单位进一步进行安全建设整改。
第八条 各级公安机关按照“谁受理备案，谁负责检查” 的原则开展检查工作。具体要求是：
对跨省或者全国联网运行、跨市或者全省联网运行等跨 地域的信息系统，由部、省、市级公安机关分别对所受理备 案的信息系统进行检查。 对辖区内独自运行的信息系统，由受理备案的公安机关 独自进行检查。
第九条 对跨省或者全国联网运行的信息系统进行检查 时，需要会同其主管部门。因故无法会同的，公安机关可以 自行开展检查。
第十条 公安机关开展检查前，应当提前通知被检查单 位，并发送《信息安全等级保护监督检查通知书》。
第十一条 检查时，检查民警不得少于两人，并应当向 被检查单位负责人或其他有关人员出示工作证件。
第十二条 检查中应当填写《信息系统安全等级保护监 督检查记录》(以下简称《监督检查记录》)。检查完毕后，《监 督检查记录》应当交被检查单位主管人员阅后签字;对记录 有异议或者拒绝签名的，监督、检查人员应当注明情况。《监 督检查记录》应当存档备查。
第十三条 检查时，发现不符合信息安全等级保护有关 管理规范和技术标准要求，具有下列情形之一的，应当通知 其运营使用单位限期整改，并发送《信息系统安全等级保护 限期整改通知书》(以下简称《整改通知》)。逾期不改正的， 给予警告，并向其上级主管部门通报：
(一) 未按照《管理办法》开展信息系统定级工作的;
(二) 信息系统安全保护等级定级不准确的;
(三) 未按《管理办法》规定备案的;
(四)备案材料与备案单位、备案系统不符合的;
(五)未按要求及时提交《信息系统安全等级保护备案 登记表》表四的有关内容的;
(六)系统发生变化，安全保护等级未及时进行调整并 重新备案的;
(七)未按《管理办法》规定落实安全管理制度、技术 措施的;
(八)未按《管理办法》规定开展安全建设整改和安全 技术测评的;
(九)未按《管理办法》规定选择使用信息安全产品和 测评机构的;
(十)未定期开展自查的;
(十一)违反《管理办法》其他规定的。
第十四条 检查发现需要限期整改的，应当出具《整改 通知》，自检查完毕之日起10个工作日内送达被检查单位。
第十五条 信息系统运营使用单位整改完成后，应当将 整改情况报公安机关，公安机关应当对整改情况进行检查。
第十六条 公安机关实施信息安全等级保护监督检查的 法律文书和记录，应当统一存档备查。
第十七条 受理备案的公安机关应该配备必要的警力， 专门负责信息安全等级保护监督、检查和指导。从事检查工 作的民警应当经过省级以上公安机关组织的信息安全等级 保护监督检查岗位培训。 第十八条 公安机关对检查工作中涉及的国家秘密、工 作秘密、商业秘密和个人隐私等应当予以保密。
第十九条 公安机关进行安全检查时不得收取任何费 用。 第二十条 本规范所称“以上”包含本数(级)。 第二十一条 本规范自发布之日起实施。
(一)开展信息系统安全等级测评，为信息系统安全提供保障。选择由省级(含)以上信息安全等级保护工作协调小组办公室审核并备案的测评机构，对第三级(含)以上信息系统开展等级测评工作。等级测评机构依据《信息系统安全等级保护测评要求》等标准对信息系统进行测评，对照相应等级安全保护要求进行差距分析，排查系统安全漏洞和隐患并分析其风险，提出改进建议，按照公安部制订的信息系统安全等级测评报告格式编制等级测评报告。经测评未达到安全保护要求的，要根据测评报告中的改进建议，制定整改方案并进一步进行整改。各部门要及时向受理备案的公安机关提交等级测评报告。对于重要部门的第二级信息系统，可以参照上述要求开展等级测评工作。
(二)开展信息安全等级保护安全管理制度建设，提高信息系统安全管理水平。按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全管理要求》、《信息系统安全工程管理要求》等标准规范要求，建立健全并落实符合相应等级要求的安全管理制度：一是信息安全责任制，明确信息安全工作的主管领导、责任部门、人员及有关岗位的信息安全责任;二是人员安全管理制度，明确人员录用、离岗、考核、教育培训等管理内容;三是系统建设管理制度，明确系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理内容;四是系统运维管理制度，明确机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置、应急预案等管理内容。建立并落实监督检查机制，定期对各项制度的落实情况进行自查和监督检查。
(三)开展信息安全等级保护安全技术措施建设，提高信息系统安全防护能力。按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全等级保护实施指南》、《信息系统通用安全技术要求》、《信息系统安全工程管理要求》、《信息系统等级保护安全设计技术要求》等标准规范要求，结合行业特点和安全需求，制定符合相应等级要求的信息系统安全技术建设整改方案，开展信息安全等级保护安全技术措施建设，落实相应的物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施，建立并完善信息系统综合防护体系，提高信息系统的安全防护能力和水平。
(四)通过组织开展信息安全教育培训。一是解决安全问题，抵御攻击破坏，减少安全事故，提高安全防范水平，推动网安基础工作，提高我局信息安全保障水平。二是加强学习，加大宣传力度，不断创新工作思路和方法，充分调动多方面工作的积极性，共同做好等级保护工作。
备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。
一、物理安全
1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）
2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录
3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录
4、主要设备或设备的主要部件上应设置明显的不易除去的标记
5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放
6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；
7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录
8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；
9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告
10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品
11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录
12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录
13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录
14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录
15、应具有冗余或并行的电力电缆线路（如双路供电方式）
16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录
二、安全管理制度
1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程
2、应具有安全管理制度的制定程序：
3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）
4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录
5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。
6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）
7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）
三、安全管理机构
1、应设立信息安全管理工作的职能部门
2、应设立安全主管、安全管理各个方面的负责人
3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）
4、安全管理员应是专职人员
5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。
6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）
7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：
8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）
9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：
10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）
11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）
12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。
13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）
14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）
15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）
四、人员安全管理
1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）
2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录
3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）
4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。
5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）
6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）
7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）
8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。
9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。
10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。
11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）
12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）
13、应具有外部人员访问重要区域的书面申请
14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）
五、系统建设管理
1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）
2、应具有系统建设/整改方案
3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责
4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）
5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）
6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订
7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本
8、应按照国家的相关规定进行采购和使用系统信息安全产品
9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品
10、应具有专门的部门负责产品的采购
11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单
12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）
13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册
14、对程序资源库的修改、更新、发布应进行授权和批准
15、应具有程序资源库的修改、更新、发布文档或记录
16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测
17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品
18、应具有软件设计的相关文档和使用指南
19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档
20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制
21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案
22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）
23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）
24、应具有测试验收报告
25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）
26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）
27、应具有系统交付时的技术培训记录
28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。
29、应指定部门负责系统交付工作
30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容
31、选定的安全服务商应提供一定的技术培训和服务
32、应与安全服务商签订的服务合同或安全责任合同书
六、系统运维管理
1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。
2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录
3、应指定部门和人员负责机房安全管理工作
4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）
5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）
6、应指定资产管理的责任部门或人员
7、应依据资产的重要程度对资产进行标识
8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））
9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）
10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制
11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）
12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）
13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）
14、介质上应具有分类的标识或标签
15、应对各类设施、设备指定专人或专门部门进行定期维护。
16、应具有设备操作手册
17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）
18、应监控主机、网络设备和应用系统的运行状况等
19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警 20、应具有日常运维的监控日志记录和运维交接日志记录
21、应定期对监控记录进行分析、评审
22、应具有异常现象的现场处理记录和事后相关的分析报告
23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理
24、应指定专人负责维护网络安全管理工作
25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）
26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。
27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）
28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。
29、对便携式和移动式设备的网络接入应进行限制管理
30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。
31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。
32、应有补丁测试记录和系统补丁安装操作记录
33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）
34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）
35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）
36、应指定专人对恶意代码进行检测，并保存记录。
37、应具有对网络和主机进行恶意代码检测的记录
38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理
39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。
41、重要系统的变更申请书，应具有主管领导的批准
42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）
43、应定期执行恢复程序，检查和测试备份介质的有效性
44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档
45、应对安全事件记录分析文档
46、应具有不同事件的应急预案
47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。
48、应对系统相关人员进行应急预案培训（应急预案培训记录）
49、应定期对应急预案进行演练（应急预案演练记录） 50、应对应急预案定期进行审查并更新
51、应具有更新的应急预案记录、应急预案审查记录。
TopSec可信等级体系 天融信等级保护方案
Hacker.cn 更新时间:08-03-27 09:37 来源:硅谷动力 作者:中安网
1.等级保护概述
1.1为什么要实行等级保护？
信息系统与社会组织体系是具有对应关系的，而这些组织体系是分层次和级别的，因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求，这就需要对信息系统进行分级、分区域、分阶段进行保护，这是做好国家信息安全的必要条件。
1.2等级保护的政策文件
信息安全等级保护工作非常重要，为此从2003年开始国家发布了一系列政策文件，具体如下：
2003年9月，中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号），这是我国第一个信息安全保障工作的纲领性文件，战略目标为经过五年努力，基本形成国家信息安全保障体系，实行等级保护制度。
2004年11月，四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。 2005年9月，国信办文件，《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）：基本原理、定级方法、安全规划与设计、实施与运营、大型复杂电子政务系统等级保护过程。
2005年，公安部标准：《等级保护安全要求》、《等级保护定级指南》、《等级保护实施指南》、《等级保护测评准则》。
2006年1月，四部委会签《关于印发《信息安全等级保护管理办法的通知》（公通字[2006]7号）。
1.3 等级保护的管理结构－北京为例
等级保护的实施和落实离不开各级管理机构的指导和监督，这在等级保护的相关文件中已经得到了规定，下面以北京市为例来说明管理机构的组成和职责，具体如下图所示：
1.4等级保护理论的技术演进
在等级保护理论被提出以后，经过相关部门的努力工作，逐渐提出了一系列原则、技术和框架，已经具备实施等级保护工作的基础条件了，其具体演进过程如下图所示：
1.5等级保护的基本需求
一个机构要实施等级保护，需要基本需求。由于等级保护是国家推动的旨在规范安全工作的基本工作制度，因此各级组织在这方面就存在如下需求：
（1） 政策要求－符合等级保护的要求。系统符合《基本要求》中相应级别的指标，符合《测评准则》中的要求。
（2） 实际需求－适应客户实际情况。适应业务特性与安全要求的差异性，可工程化实施。
1.6基本安全要求的结构
对系统进行定级后，需要通过努力达到相应等级的基本安全要求，在总体上分为技术要求和管理要求，技术上又分为物理安全、网络安全、主机安全、应用安全、数据安全，在管理要求中又分为安全管理机构、安全管理制度等5项，具体如下图所示：
2.等级保护实施中的困难与出路
由于等级保护制度还处于探讨阶段，目前来看，尚存在如下困难：
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统，否则：
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
4.大型客户最关注的关键要求指标超出《基本要求》规定
针对上述问题，在下面几小节分别给出了坚决办法。
2.1安全体系设计方法
需求分析－1
问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
需求：从组织整体出发，综合考核所有系统
方法：引入体系设计方法
2.2保护对象框架设计方法
需求分析－2
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求
方法：引入保护对象框架设计方法
保护对象框架－政府行业
保护对象框架－电信行业
保护对象框架－银行业
2.3安全平台的设计与建设方法
需求分析－3
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平
方法：引入安全平台的设计与建设方法
平台定义：为系统提供互操作性及其服务的环境
2.4建立安全运行体系
需求分析－4
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
需求：建立长效机制，建立可持续运行、发展和完善的体系
方法：建立安全运行体系
2.5安全运维工作过程
需求分析－5
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
需求：需要高水平、自动化的安全管理工具
方法：TSM安全管理平台
2.6 TNA可信网络架构模型
需求分析－6
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
4.大型客户最关注的关键指标超出《基本要求》规定
需求：在《基本要求》基础上提出更强的措施，满足客户最关注的指标
方法：引入可信计算的理念，提供可信网络架构
3.总体解决方案－TopSec可信等级体系
按照上面解决等级保护目前困难的方法，总体解决方案就是建立TopSec可信等级体系：
遵照国家等级保护制度、满足客户实际需求，采用等级化、体系化和可信保障相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。
实施后状态：一套持续运行、涵盖所有安全内容的安全保障体系，是企业或组织安全工作所追求的最终目标
特质：
等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求
整体性：结构化，内容全面，可持续发展和完善，持续运行
针对性：针对实际情况，符合业务特性和发展战略
3.1可信等级体系设计方法
3.2信息安全保障体系总体框架
3.3体系设计的成果
安全组织体系
安全策略体系
安全技术体系
安全运行体系
3.4安全体系的实现
4.成功案例
某国有大型企业已经采用了我们的可信等级体系，取得了良好的效果。
《电信交换》2009年
第2期
如何理解信息安全等级保护
与分级保护
徐 苏
(电信科学技术第十研究所
陕西
西安
710061)
摘 要：信息安全保护分级、分区域、分类、分阶段是做好国家信息安全保护应遵循的准则。国家信息安全等级保护与涉密信息系统分级保护是两个既联系又有区别的概念。国家安全信息等级保护，重点保护的对象是非涉密的涉及国计民生的重要信息系统和通信基础信息系统;涉密信息系统分级保护是国家信息安全等级保护的重要组成部分，是等级保护在涉密领域的具体体现。
关键字：国家信息安全 公众信息 国家秘密信息 等级保护 分级保护 在日常工作中和为用户提供服务的过程中，什么是信息系统等级保护?什么是涉密信息系统分级保护?这两者之间有什么关系?那些系统需要进行等级保护?涉密信息系统如何分级?这是时常困扰我们的问题。
一、信息系统等级保护
1999年国家发布并于2001年1月1日开始实施GB17859《计算机信息系统安全保护等级划分准则》。2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。2004年9月17日，公安部、国家保密局、国家密码管理委员会办公室、国务院信息办下发了《关于信息安全等级保护工作的实施意见》，明确了信息安全等级保护的重要意义、原则、基本内容、工作职责分工、要求和实施计划。2006年1月17日，四部门又下发了《信息安全等级保护管理办法(试行)》，进一步确定职责分工，明确了公安机关负责全面工作、国家保密工作部门负责涉密信息系统、国家密码管理部门负责密码工作、国务院信息办负责的管理职责和要求。涉及国家秘密的信息系统应当依据国家信息安全等级保护的基本要求，按照国家保密工作部门涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。
由于信息系统结构是应社会发展、社会生活和工作的需要而设计、建立的，是社会构成、行政组织体系的反映，因而这种系统结构是分层次和级别的，而其中的各种信息系统具有重要的社会和经济价值，不同的系统具有不同的价值。系统基础资源和信息资源的价值大小、
徐苏：如何理解信息安全等级保护与分级保护
用户访问权限的大小、大系统中各子系统重要程度的区别等就是级别的客观体现。信息安全保护必须符合客观存在和发展规律，其分级、分区域、分类和分阶段是做好国家信息安全保护的前提。
信息系统安全等级保护将安全保护的监管级别划分为五个级别：
第一级：用户自主保护级
完全由用户自己来决定如何对资源进行保护，以及采用何种方式进行保护。
第二级：系统审计保护级
本级的安全保护机制受到信息系统等级保护的指导，支持用户具有更强的自主保护能力，特别是具有访问审计能力。即能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统发生安全问题时，可以根据审计记录，分析追查事故责任人，使所有的用户对自己行为的合法性负责。
第三级：安全标记保护级
除具有第二级系统审计保护级的所有功能外，还它要求对访问者和访问对象实施强制访问控制，并能够进行记录，以便事后的监督、审计。通过对访问者和访问对象指定不同安全标记，监督、限制访问者的权限，实现对访问对象的强制访问控制。
第四级：结构化保护级
将前三级的安全保护能力扩展到所有访问者和访问对象，支持形式化的安全保护策略。其本身构造也是结构化的，将安全保护机制划分为关键部分和非关键部分，对关键部分强制性地直接控制访问者对访问对象的存取，使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。
第五级：访问验证保护级
这一个级别除了具备前四级的所有功能外还特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动，仲裁访问者能否访问某些对象从而对访问对象实行专控，保护信息不能被非授权获取。因此，本级的安全保护机制不易被攻击、被篡改，具有极强的抗渗透的保护能力。
在等级保护的实际操作中，强调从五个部分进行保护，即：
物理部分：包括周边环境，门禁检查，防火、防水、防潮、防鼠、虫害和防雷，防电磁泄漏和干扰，电源备份和管理，设备的标识、使用、存放和管理等;
支撑系统：包括计算机系统、操作系统、数据库系统和通信系统;
网络部分：包括网络的拓扑结构、网络的布线和防护、网络设备的管理和报警，网络攻击的监察和处理;
应用系统：包括系统登录、权限划分与识别、数据备份与容灾处理，运行管理和访问控
徐苏：如何理解信息安全等级保护与分级保护
制，密码保护机制和信息存储管理;
管理制度：包括管理的组织机构和各级的职责、权限划分和责任追究制度，人员的管理和培训、教育制度，设备的管理和引进、退出制度，环境管理和监控，安防和巡查制度，应急响应制度和程序，规章制度的建立、更改和废止的控制程序。
由这五部分的安全控制机制构成系统整体安全控制机制。
二、涉密信息系统分级保护
1997年《中共中央关于加强新形势下保密工作的决定》明确了在新形势下保密工作的指导思想和基本任务，提出要建立与《保密法》相配套的保密法规体系和执法体系，建立现代化的保密技术防范体系。中央保密委员会于2004年12月23日下发了《关于加强信息安全保障工作中保密管理若干意见》明确提出要建立健全涉密信息系统分级保护制度。2005年12月28日，国家保密局下发了《涉及国家秘密的信息系统分级保护管理办法》，同时，《保密法》修订草案也增加了网络安全保密管理的条款。随着《保密法》的贯彻实施，国家已经基本形成了完善的保密法规体系。
涉密信息系统实行分级保护，先要根据涉密信息的涉密等级，涉密信息系统的重要性，遭到破坏后对国计民生造成的危害性，以及涉密信息系统必须达到的安全保护水平来确定信息安全的保护等级;涉密信息系统分级保护的核心是对信息系统安全进行合理分级、按标准进行建设、管理和监督。国家保密局专门对涉密信息系统如何进行分级保护制定了一系列的管理办法和技术标准，目前，正在执行的两个分级保护的国家保密标准是BMB17《涉及国家秘密的信息系统分级保护技术要求》和BMB20《涉及国家秘密的信息系统分级保护管理规范》。从物理安全、信息安全、运行安全和安全保密管理等方面，对不同级别的涉密信息系统有明确的分级保护措施，从技术要求和管理标准两个层面解决涉密信息系统的分级保护问题。
涉密信息系统安全分级保护根据其涉密信息系统处理信息的最高密级，可以划分为秘密级、机密级和机密级(增强)、绝密级三个等级：
秘密级：信息系统中包含有最高为秘密级的国家秘密，其防护水平不低于国家信息安全等级保护三级的要求，并且还必须符合分级保护的保密技术要求。
机密级：信息系统中包含有最高为机密级的国家秘密，其防护水平不低于国家信息安全等级保护四级的要求，还必须符合分级保护的保密技术要求。属于下列情况之一的机密级信息系统应选择机密级(增强)的要求：
徐苏：如何理解信息安全等级保护与分级保护
(1)信息系统的使用单位为副省级以上的党政首脑机关，以及国防、外交、国家安全、军工等要害部门;
(2)信息系统中的机密级信息含量较高或数量较多; (3)信息系统使用单位对信息系统的依赖程度较高。
绝密级：信息系统中包含有最高为绝密级的国家秘密，其防护水平不低于国家信息安全等级保护五级的要求，还必须符合分级保护的保密技术要求，绝密级信息系统应限定在封闭的安全可控的独立建筑内，不能与城域网或广域网相联。
涉密信息系统分级保护的管理过程分为八个阶段，即系统定级阶段、安全规划方案设计阶段、安全工程实施阶段、信息系统测评阶段、系统审批阶段、安全运行及维护阶段、定期评测与检查阶段和系统隐退终止阶段等。在实际工作中，涉密信息系统的定级、安全规划方案设计的实施与调整、安全运行及维护三个阶段，尤其要引起重视。
系统定级决定了系统方案的设计实施、安全措施、运行维护等涉密信息系统建设的各个环节，因此如何准确地对涉密信息系统进行定级在涉密信息系统实施分级保护中尤为重要。涉密信息系统定级遵循“谁建设、谁定级"的原则，可以根据信息密级、系统重要性和安全策略划分为不同的安全域，针对不同的安全域确定不同的等级，并进行相应的保护。在涉密信息系统定级时，可以综合考虑涉密信息系统中资产、威胁、受到损害后的影响，以及使用单位对涉密信息系统的信赖性等因素对涉密信息系统进行整体定级;同时，在同一个系统里，还允许划分不同的安全域，在每个安全域可以分别定级，不同的级别采取不同的安全措施，更加科学地实施分级保护，在一定程度上可以解决保重点，保核心的问题，也可以有效地避免因过度保护而造成应用系统运行效能降低以及投资浪费等问题。涉密信息系统建设单位在定级的同时，必须报主管部门审批。
涉密信息系统要按照分级保护的标准，结合涉密信息系统应用的实际情况进行方案设计。设计时要逐项进行安全风险分析，并根据安全风险分析的结果，对部分保护要求进行适当的调整和改造，调整应以不降低涉密信息系统整体安全保护强度，确保国家秘密安全为原则。当保护要求不能满足实际安全需求时，应适当选择采用部分较高的保护要求，当保护要求明显高于实际安全需求时，可适当选择采用部分较低的保护要求。对于安全策略的调整以及改造方案进行论证，综合考虑修改项和其他保护要求之间的相关性，综合分析，改造方案的实施以及后续测评要按照国家的标准执行，并且要求文档化。在设计完成之后要进行方案论证，由建设使用单位组织有关的专家和部门进行方案设计论证，确定总体方案达到分级保护技术的要求后再开始实施;在工程建设实施过程中注意工程监理的要求;建设完成之后应
徐苏：如何理解信息安全等级保护与分级保护
该进行审批;审批前由国家保密局授权的涉密信息系统测评机构进行系统测评，确定在技术层面是否达到了涉密信息系统分级保护的要求。
运行及维护过程的不可控性以及随意性，往往是涉密信息系统安全运行的重大隐患。通过运行管理和控制、变更管理和控制，对安全状态进行监控，对发生的安全事件及时响应，在流程上对系统的运行维护进行规范，从而确保涉密信息系统正常运行。通过安全检查和持续改进，不断跟踪涉密信息系统的变化，并依据变化进行调整，确保涉密信息系统满足相应分级的安全要求，并处于良好安全状态。由于运行维护的规范化能够大幅度地提高系统运行及维护的安全级别，所以在运行维护中应尽可能地实现流程固化，操作自动化，减少人员参与带来的风险。还需要注意的是在安全运行及维护中保持系统安全策略的准确性以及与安全目标的一致性，使安全策略作为安全运行的驱动力以及重要的制约规则，从而保持整个涉密信息系统能够按照既定的安全策略运行。在安全运行及维护阶段，当局部调整等原因导致安全措施变化时，如果不影响系统的安全分级，应从安全运行及维护阶段进入安全工程实施阶段，重新调整和实施安全措施，确保满足分级保护的要求;当系统发生重大变更影响系统的安全分级时，应从安全运行及维护阶段进入系统定级阶段，重新开始一次分级保护实施过程。
随着我们国家民主与法制建设进程的不断推进，保密的范围和事项正在逐步减少，致使一些涉密人员保密意识和敌情观念淡化，对保密工作的必要性和重要性认识不足。虽然长期处于和平时期，但并不意味着无密可保。事实上，政府部门掌握着大量重要甚至核心的机密，已成为各种窃密活动的重点目标。我党政机关和军工单位也是国家秘密非常集中的领域，一直是窃密与反窃密，渗透与反渗透的主战场。据国家有关部门统计，在全国泄密事件中，军工系统占有很大比例。境内外敌对势力和情报机构以我党政军机关和军工单位为主要目标的窃密活动更加突出，渗透与反渗透、窃密与反窃密的斗争更加激烈。由于一些单位涉密信息系统安全保障能力不够、管理不力，导致涉密信息系统泄密案件的比例逐年上升，安全保密形势非常严峻。因此严格按照涉密信息系统分级保护的要求，加强涉密信息系统建设意义重大。
三、等级保护和分级保护之间的关系
国家信息安全等级保护与涉密信息系统分级保护是两个既有联系又有区别的概念。涉密信息系统分级保护是国家信息安全等级保护的重要组成部分，是等级保护在涉密领域的具体体现。
国家安全信息等级保护重点保护的对象是涉及国计民生的重要信息系统和通信基础信 5
徐苏：如何理解信息安全等级保护与分级保护
息系统，而不论它是否涉密。如：
(1) 国家事务处理信息系统(党政机关办公系统);
(2) 金融、税务、工商、海关、能源、交通运输、社会保障、教育等基础设施的信息系统;
(3) 国防工业企业、科研等单位的信息系统;
(4) 公用通信、广播电视传输等基础信息网络中的计算机信息系统; (5) 互联网网络管理中心、关键节点、重要网站以及重要应用系统; (6)其他领域的重要信息系统。
国家实行信息安全等级保护制度，有利于建立长效机制，保证安全保护工作稳固、持久地进行下去;有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调;有利于突出重点，加强对涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统的安全保护和管理监督;有利于明确国家、企业、个人的安全责任，强化政府监管职能，共同落实各项安全建设和安全管理措施;有利于提高安全保护的科学性、针对性，推动网络安全服务机制的建立和完善;有利于采取系统、规范、经济有效、科学的管理和技术保障措施，提高整体安全保护水平，保障信息系统安全正常运行，保障信息安全，进而保障各行业、部门和单位的职能与业务安全、高速、高效地运转;有利于根据所保护的信息的重要程度，决定保护等级，防止“过保护”和“欠保护”的情况发生;有利于信息安全保护科学技术和产业化发展。
涉密信息系统分级保护保护的对象是所有涉及国家秘密的信息系统，重点是党政机关、军队和军工单位，由各级保密工作部门根据涉密信息系统的保护等级实施监督管理，确保系统和信息安全，确保国家秘密不被泄漏。国家秘密信息是国家主权的重要内容，关系到国家的安全和利益，一旦泄露，必将直接危害国家的政治安全、经济安全、国防安全、科技安全和文化安全。没有国家秘密的信息安全，国家就会丧失信息主权和信息控制权，所以国家秘密的信息安全是国家信息安全保障体系中的重要组成部分。
因为不同类别、不同层次的国家秘密信息，对于维护国家安全和利益具有不同的价值，所以需要不同的保护强度种措施。对不同密级的信息，应当合理平衡安全风险与成本，采取不同强度的保护措施，这就是分级保护的核心思想。对涉密信息系统的保护，既要反对只重应用不讲安全，防护措施不到位造成各种泄密隐患和漏洞的“弱保护”现象;同时也要反对不从实际出发，防护措施“一刀切”，造成经费与资源浪费的“过保护”现象。对涉密信息系统实行分级保护，就是要使保护重点更加突出，保护方法更加科学，保护的投入产出比更加合理，
徐苏：如何理解信息安全等级保护与分级保护
从而彻底解决长期困扰涉密单位在涉密信息系统建设使用中的网络互联与安全保密问题。
由上可以看出国家信息安全等级保护是国家从整体上、根本上解决国家信息安全问题的办法, 进一步确定了信息安全发展的主线和中心任务, 提出了总体要求。对信息系统实行等级保护是国家法定制度和基本国策，是开展信息安全保护工作的有效办法，是信息安全保护工作的发展方向。而涉密信息系统分级保护则是国家信息安全等级保护在涉及国家秘密信息的信息系统中的特殊保护措施与方法。由于国家秘密信息与公开信息在内容和特性上有着明显的区别，所以涉密信息系统和公众信息系统在保障安全的原则、系统和方法等方面也有不同的要求。既不能用维护国家秘密信息安全的办法去维护国家公众信息安全，以至于影响信息的合理利用，阻碍信息化的发展;也不能用维护公众信息安全的办法来维护国家的秘密信息安全，以至于窃密、泄密事件的发生，危害国家的安全和利益，同样影响信息化的健康发展。
推荐阅读：
信息安全等级保护规范06-28
信息系统等级保护报告05-29
电力信息化与信息安全06-08
信息安全团队06-05
信息安全试题06-27
信息安全策略集06-08
信息安全保密操作规程05-26
1.信息安全保密制度05-26
企业信息安全审查重点05-29
公司信息安全学习心得05-30
